Code malveillant dans animate-twcss-bridge

Veille sécuritéFrontend

P4Non déterminée

Un avis publié le 2026-10-20 signale du code malveillant dans animate-twcss-bridge 2.0.6, présenté comme un plugin Tailwind CSS. Le paquet dépend d’un module privé dont le contenu malveillant n’a pas été récupéré; le chargement du plugin dans la configuration Tailwind peut exécuter son code.

IdentifiantAvis de sécurité

GravitéNon déterminée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : GHSA-v2vq-rvhc-qqr9 — avis GitHub

Analyse technique

Le paquet requiert une dépendance npm privée; le tarball signalé ne contient pas de script d’installation ni de code réseau. Le code de la dépendance privée n’a pas été récupéré.

Impact, versions et correctif

Événement datéAvis publié le 2026-10-20 à 06:31:16Z, soit pendant la période demandée (2026-10-20T00:00:00+02:00 à 2026-10-21T00:00:00+02:00).

ImpactExécution potentielle de code lors du chargement du plugin et du démarrage du serveur de développement; le comportement de la charge utile privée demeure inconnu.

Versions affectées2.0.6

ContournementNe pas installer ni charger le paquet; supprimer la dépendance si elle est présente.

Exploitation activenon connue / non déterminée

PoC publicinconnu

Publication2026-10-20T06:31:16Z

Mise à jour2026-10-20T06:31:17Z

Détection / vérification

Vérifier les dépendances npm et supprimer le paquet concerné; examiner les environnements où le plugin a été chargé.

Action recommandée

Retirer animate-twcss-bridge 2.0.6 des dépendances et vérifier les machines où Tailwind a pu charger ce plugin.

Sources

GHSA-v2vq-rvhc-qqr9 — avis GitHub

Priorisation DFS : P4 · 1 source(s).